蓝易云CDN：针对网站的不定时恶意接口扫描产生的404请求，有什么好的防护措施？

网站不定时出现大量404请求，而且访问的都是不存在的接口、后台路径或随机目录，通常意味着存在自动化接口探测、目录扫描或漏洞扫描行为。

例如反复访问：

/admin/login
/.env
/.git/config
/api/user
/phpmyadmin/
/backup.zip

如果网站本身没有这些路径，却不断被不同客户端尝试，就不能只当普通404处理。比较有效的思路是：不要单纯封IP，而是根据行为特征识别扫描。 🛡️

一、不要设置“出现一次404就封禁”

这是最容易误伤正常用户的做法。

用户输错地址、旧链接失效、正常爬虫访问历史页面，都可能产生404。真正值得处理的是：

短时间 + 连续404 + 大量不同路径 + 路径具有明显探测特征。

例如某个客户端几十秒内连续访问多个完全不存在的后台、配置文件和接口，可以明显提高风险等级。

因此，更合理的是采用滑动时间窗口统计，而不是看到一个404就拉黑。

二、使用“404次数 + 不同路径数”联合判断

单纯统计404次数仍然不够。

例如客户端不断访问同一个失效图片，可能产生很多404，但不一定是在扫描。

建议同时统计：

• 一段时间内404请求总量；
• 访问了多少个不同的404路径；
• 请求路径是否具有扫描特征；
• GET、POST等请求方式是否异常；
• User-Agent、JA4等客户端特征；
• 请求速度及访问间隔。

如果一个客户端短时间遍历几十个完全不同的不存在接口，基本就具备明显的自动化扫描特征。🔍

三、采用分级处理，不要直接“一刀切”

比较稳妥的策略可以设计成：

正常访问 → 观察 → 人机验证 → 限速 → 临时封禁。

例如扫描行为刚出现时先累计风险分；达到一定阈值后触发人机验证。如果仍然持续产生异常404，再进行短时间封禁。

这样既能降低误伤，也能减少攻击者通过不断更换IP继续扫描的效果。

具体多少秒、多少次404，不建议所有网站使用同一固定参数，应结合网站正常访问量和接口数量进行调整。

四、敏感路径直接在CDN边缘处理

对于网站明确不会使用的路径，例如.env、.git、数据库管理入口、历史测试目录等，可以通过蓝易云CDN直接设置安全规则。

明显属于漏洞探测的请求，没有必要继续回源。

这样可以减少源站Nginx、PHP、Java以及数据库处理无意义请求产生的资源消耗。⚡

五、不要只依赖IP黑名单

现在的自动化扫描很容易更换来源IP。

因此蓝易云CDN在实际防护时，可以结合：

IP + 请求频率 + URI路径 + 状态码 + JA4 + User-Agent + WAF命中特征

综合判断客户端行为。

特别是同一个客户端不断更换URI进行探测时，行为识别通常比单纯封一个IP更有价值。

六、404突然暴增还要排查网站本身

并不是所有404暴增都是攻击。

如果发布新版本、修改路由、删除页面、前端引用错误，同样可能产生大量404。因此建议先查看访问日志，确认404到底集中在哪些路径、来源IP、请求方式和时间段。

如果明显集中在不存在的后台、配置文件、框架漏洞路径，并呈现连续遍历特征，再按照恶意扫描处理。

对于这类问题，蓝易云CDN比较适合采用状态码统计 + 路径行为分析 + CC策略 + 语义WAF + JA4识别形成多层防护。

核心不是“404出现多少次就永久封IP”，而是识别：

这个客户端是不是正在系统性寻找网站入口。

识别行为以后再进行人机验证、限速和临时封禁，既能提高拦截效果，也能减少正常用户被误伤。